Vulnerabilidad de secuestro de DLL (CVE-2025-56383) expone a Notepad++

Se ha descubierto una vulnerabilidad CVE-2025-56383 de secuestro de DLL (DLL hijacking) de gravedad alta (CVSS 8.4) en Notepad++ versión 8.8.3. Esta falla podría permitir a un atacante local ejecutar código malicioso al colocar una biblioteca con el nombre correcto en un directorio que el programa carga antes que la DLL legítima.

Detalles Técnicos del Secuestro de DLL en Notepad++

La vulnerabilidad reside en cómo Notepad++ carga ciertas librerías, como las requeridas por complementos (plugins) como NppExport.dll, sin especificar rutas absolutas. Esto provoca que el sistema operativo busque la DLL, permitiendo que un atacante local la suplante.

• Requisito de Acceso Local: El ataque generalmente no es remoto. Requiere que el atacante ya tenga la capacidad de escribir archivos en un directorio que Notepad++ use (por ejemplo, el directorio de plugins).
• Técnica de Proxying: La demostración del exploit utiliza la técnica de proxying para evadir la detección. El atacante:
  1. Renombra la DLL legítima.
  2. Coloca la DLL maliciosa con el nombre original.
  3. La DLL maliciosa llama internamente a la DLL legítima renombrada para que el programa siga funcionando normalmente, mientras ejecuta el código adicional malicioso.
• Impacto Potencial: Aunque el ejemplo de prueba de concepto es simple (mostrar un mensaje), el impacto real es significativo: podría usarse para establecer persistencia, escalar privilegios o cargar malware complejo.

Recomendaciones

1. Actualización y Parcheo

• Evitar la Versión Vulnerable: No utilices la versión 8.8.3. Consulta el sitio oficial de Notepad++ y verifica si versiones más recientes o nightly builds ya han incluido el parche para este CVE.

2. Restricción de Permisos de Escritura

• Fortalecer Permisos: Esta es la mitigación más crítica. Asegúrate de que los usuarios normales no tengan permisos de escritura en las carpetas de instalación de Notepad++ ni en los directorios donde se cargan los plugins.
• Principio de Menor Privilegio: Evita que usuarios no confiables puedan modificar archivos en las rutas de carga de complementos.

3. Verificación de Integridad de Archivos

• Monitoreo: Implementa la monitorización para detectar cambios inesperados en los archivos DLL de Notepad++ y sus plugins.
• Firmas Digitales: Si es posible, utiliza hashes o firmas digitales para verificar la integridad de las DLLs críticas y rechazar binarios que hayan sido modificados.